DocumentaciónSoporteCosta Rica · Contacto
ESENPT
Hablemos
  • Legal

HIPAAHealth Insurance Portability and Accountability Act of 1996

En pocas palabras

HIPAA es una ley federal de Estados Unidos de 1996 cuyas reglas, dictadas por el Departamento de Salud y Servicios Humanos (HHS), protegen la información de salud que manejan los prestadores, los planes de salud, las cámaras de compensación y sus socios comerciales. Permite usar esa información para tratamiento, pago y operaciones sin autorización del paciente, exige autorización para otros usos y da a las personas derecho a acceder a sus datos. No cubre a quien no es entidad cubierta ni actúa para una.

Tipo
Marco legal
Responsable
U.S. Congress; rules: HHS; enforcement of the Privacy, Security and Breach Notification Rules: HHS Office for Civil Rights
Versión vigente
Pub. L. 104-191
Jurisdicción
Estados Unidos
Revisado
25 de octubre de 2026

Explicación

Qué es

La Health Insurance Portability and Accountability Act of 1996 (Ley Pública 104-191, del 21 de agosto de 1996) incluye en su título II la simplificación administrativa. Con esa base, el HHS dictó las reglas que hoy están en el título 45 del Código de Regulaciones Federales (CFR):

ReglaDónde
Disposiciones generales y cumplimiento45 CFR parte 160
Transacciones, conjuntos de códigos e identificadores45 CFR parte 162
Seguridad45 CFR parte 164, subparte C
Notificación de brechas45 CFR parte 164, subparte D
Privacidad45 CFR parte 164, subparte E

La Oficina de Derechos Civiles (OCR) del HHS aplica las reglas de privacidad, seguridad y notificación de brechas.

A quién se aplica

Las entidades cubiertas son los planes de salud, las cámaras de compensación y los prestadores que transmiten información de salud en forma electrónica en transacciones estándar (§ 160.103), además de sus socios comerciales. Para HIPAA, «estado» incluye Puerto Rico, las Islas Vírgenes, Guam, Samoa Americana y las Islas Marianas del Norte.

Reglas clave de privacidad

  • Uso y divulgación para tratamiento, pago y operaciones de atención sin autorización; pedir consentimiento para esos fines es opcional (§ 164.506).
  • Autorización escrita para otros usos (§ 164.508).
  • Derecho de acceso: la entidad debe responder en 30 días, prorrogables una sola vez por hasta 30 días más con aviso escrito (§ 164.524).
  • Las leyes estatales más estrictas sobre privacidad no quedan desplazadas (§ 160.203).

Estado a octubre de 2026

  • Última reforma vigente: la regla final del 24 de marzo de 2026 (91 FR 14350) adoptó estándares para adjuntos de reclamaciones y firmas electrónicas; rige desde el 26 de mayo de 2026 y su cumplimiento es obligatorio desde el 26 de mayo de 2028.
  • Salud reproductiva: según el HHS, un tribunal federal de Texas anuló el 18 de junio de 2025 la mayor parte de la regla de 2024 sobre privacidad de la salud reproductiva.
  • Seguridad: la reforma de la regla de seguridad propuesta el 6 de enero de 2025 sigue siendo una propuesta.

Errores frecuentes

  • Creer que protege todo dato de salud. Solo obliga a entidades cubiertas y socios comerciales; otras normas pueden aplicarse fuera de ese ámbito.
  • Creer que impide compartir para la atención. El tratamiento es un uso permitido sin autorización.
  • Tratar una propuesta como regla. Las propuestas publicadas en el Federal Register no obligan hasta que se adoptan como regla final.

Ejemplos de uso

  1. La definición de «estado» de HIPAA (§ 160.103) incluye a Puerto Rico, las Islas Vírgenes, Guam, Samoa Americana y las Islas Marianas del Norte, además del Distrito de Columbia.

  2. Un prestador puede enviar un resumen clínico a otro prestador para tratar al paciente sin pedirle autorización (§ 164.506).

  3. Ante una solicitud de acceso, la entidad cubierta tiene 30 días para responder y puede prorrogarlos una vez, hasta 30 días más, si explica por escrito el motivo (§ 164.524).

  4. La regla final de 2026 sobre adjuntos de reclamaciones exige que las firmas electrónicas de esos adjuntos sigan la guía HL7 CDA R2 Digital Signatures and Delegation of Rights.

  5. La Federal Trade Commission aplica su propia Health Breach Notification Rule, actualizada en 2024, a proveedores de historiales personales de salud no cubiertos por HIPAA.

Relación con otros términos

Se apoya en0

Este término no se apoya en otros del glosario.

Dependen de este1

Fuentes

  1. Public Law 104-191 — Health Insurance Portability and Accountability Act of 1996 (govinfo)govinfo.gov
  2. eCFR — 45 CFR Part 160, General Administrative Requirementsecfr.gov
  3. eCFR — 45 CFR Part 164, Security and Privacyecfr.gov
  4. HHS — HIPAA and Reproductive Health (status of the 2024 rule after Purl v. HHS)hhs.gov
  5. Federal Register — HIPAA Security Rule To Strengthen the Cybersecurity of Electronic Protected Health Information (proposed rule, 90 FR 898, 6 January 2025)federalregister.gov
  6. Federal Register — Health Breach Notification Rule (FTC final rule, 89 FR 47028, 30 May 2024)federalregister.gov
  7. Federal Register — Administrative Simplification; Adoption of Standards for Health Care Claims Attachments Transactions and Electronic Signatures (91 FR 14350, 24 March 2026)federalregister.gov
Glosario de interoperabilidad en salud